网络信息安全跟工业控制系统信息安全技术.ppt

* * 工业控制系统信息安全技术 —信息安全新挑战、新方向 2010年9月24日，伊朗布什尔核电站的工业控制系统遭到震网(Stuxnet)病毒攻击，导致其核设施不能正常运行 据媒体报道，可能是负责建设布什尔核电站的俄罗斯工程技术人员所使用的U盘感染了震网病毒，通过“摆渡”方式，把震网病毒传播到工业控制网络，使工业控制网络遭受到恶意攻击 震网病毒事件 与传统病毒相比，震网病毒是一种直接破坏工业基础设施的恶意代码，被认为是全球首个投入实战的网络战武器 信息安全界将震网病毒攻击伊朗核设施事件列为2010年十大IT事件之一 2011年出现的毒区(Duqu)病毒和2012年出现的火焰(Flame)病毒等都是专门攻击工业控制系统(ICS)的计算机病毒 震网病毒事件 病毒攻击具有很强的目的性和指向性 震网病毒虽然能够像传统蠕虫病毒一样在互联网上进行传播，但并不是以获取用户数据或牟利为目的，其最终攻击目标是重要工业基础设施－工业控制系统 通过修改系统的数据采集、监测、调度等命令逻辑，造成系统的采集数据错误，命令调度混乱，甚至完全操纵控制系统的指控逻辑，按攻击者的意图对工业生产实施直接破坏 震网病毒特点 漏洞利用多样化和攻击技术复杂化 震网病毒从感染、传播到攻击，综合利用了7个不同层次的系统漏洞，涉及Windows等通用系统和工控专用系统的开发技术和漏洞利用技术，需要精通和掌握多种编程语言和高级编程技巧 为了抗查杀，震网病毒还利用安全证书仿冒、Rootkit等技术精心设计了一套自保护机制 国外信息安全专家称，震网病毒具备相当的高端性，其背后有强大的技术支撑和财政支持 震网病毒特点 基于“摆渡”的渗透攻击技术 在一般情况下，工业控制所在的内部网是与互联网物理/逻辑隔离的，为了能够渗透到内部网，震网病毒设计了一套比较完善的传播策略和攻击流程，可通过U盘“摆渡”到内部网进行传播 震网病毒“摆渡”到内部网并激活后，利用某些版本工业控制系统软件漏洞，实施对特定PLC设备进行攻击，其最终攻击目标是PLC，这也是震网病毒区别于其它传统病毒的主要特点 震网病毒特点 震网病毒给工业控制系统信息安全敲响了警钟，网络攻击正在从开放的互联网向封闭的工业控制网蔓延 据权威工业安全事件信息库(RISI)统计，截止到2011年10月，全球已发生了200余起针对工业控制系统的攻击事件 2001年后，随着通用开发标准与互联网技术的广泛使用，针对工业控制系统的攻击行为也出现大幅度增长 震网病毒警示 近年来针对工业控制系统入侵事件有： 2007年攻击者入侵加拿大一个水利控制系统，破坏了用于取水调度的控制计算机 2008年攻击者入侵波兰某城市地铁系统，通过电视遥控器改变轨道扳道器，导致四节车厢脱轨 2010年震网病毒入侵伊朗布什尔核电站的ICS 系统，严重威胁到核反应堆的安全运营 2011年黑客入侵美国伊利诺伊州城市供水系统，使其供水泵遭到破坏 震网病毒警示 震网病毒给工业控制系统安全带来严重的危害，同时也敲响了警钟，引起了世界主要工业国家的高度重视 我国工业和信息化部于2011年9月发布了《关于加强工业控制系统信息安全管理的通知》(工信部协[2011]451号)，要求各级政府和国有大型企业切实加强工业控制系统信息安全防护和管理 震网病毒警示 工业控制系统是一个国家重要基础设施，涉及核设施、钢铁、有色、化工、石油石化、电力、天然气、先进制造、水利枢纽、环境保护、铁路、城市轨道交通、民航及城市供水供气供热等诸多国计民生领域 随着计算机和网络技术的发展，特别是信息化与工业化深度融合及物联网的快速发展，工业控制系统正在面临病毒、木马攻击的威胁，信息安全问题日益突出 安全风险分析 工业控制系统主要由各种自动化控制组件和实时数据采集、监测的过程控制组件共同构成，主要的组件有： 数据采集与监控系统(SCADA) 分布式控制系统(DCS) 可编程逻辑控制器(PLC) 远程终端(RTU) 智能电子设备(IED) 确保各组件通信的接口技术等 安全风险分析 工业控制系统主要存在三类安全风险 ： 1. 工业控制系统无防护带来的风险 出于工业控制软件与操作系统补丁兼容性考虑，工控系统开机后一般不会对Windows操作系统打补丁，导致系统带着漏洞运行 出于工业控制软件与杀毒软件兼容性考虑，工控系统通常不安装杀毒软件，给病毒与恶意代码的传播和攻击留下了可乘之机 安全风险分析 工业控制系统中的管理终端一般没有采取措施对移动U盘和光盘使用进行有效的管理，导致移动介质的滥用而引发的安全事件时有发生 在工业控制系统维护时，通常需要接入笔记本电脑。由于对接入的笔记本电脑缺乏有效的安全监管，给工业控制系统带来很大的安全风险 由于对工业控制系统的操作行为缺乏有效的安全监管和审计，异常操作行为